mikrotik hex_lite_firmware 未加控制的资源消耗（资源穷尽）

CVE编号

CVE-2020-10364

利用情况

暂无

补丁情况

N/A

披露时间

2020-03-24

漏洞描述

MikroTik routers是拉脱维亚MikroTik公司的一款路由器产品。 MikroTik routers v6.44.3及之前版本中的SSH守护进程存在安全漏洞。远程攻击者可利用该漏洞造成新的授权连接无法进行。

解决建议

目前厂商暂未发布修复措施解决此安全问题，建议使用此软件的用户随时关注厂商主页或参考网址以获取解决办法：https://mikrotik.com/

参考链接
https://packetstormsecurity.com/files/156790/Microtik-SSH-Daemon-6.44.3-Denia...
https://www.exploit-db.com/exploits/48228

受影响软件情况

#	类型	厂商	产品	版本	影响面
1
	运行在以下环境
	系统	mikrotik	ccr1009-7g-1c-1s+pc_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1009-7g-1c-1s+_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1009-7g-1c-pc_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1016-12g_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1016-12s-1s+_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1036-12g-4s-em_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1036-12g-4s_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1036-8g-2s+em_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1036-8g-2s+_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	ccr1072-1g-8s+_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	hex_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	hex_lite_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	hex_poe_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	hex_poe_lite_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	hex_s_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	powerbox_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	powerbox_pro_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb1100ahx4_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb2011il-in_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb2011il-rm_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb2011ils-in_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb2011uias-in_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb2011uias-rm_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb3011uias-rm_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	系统	mikrotik	rb4011igs+rm_firmware	*		Up to (including) 6.44.3
	运行在以下环境
	硬件	mikrotik	ccr1009-7g-1c-1s+	-	-
	运行在以下环境
	硬件	mikrotik	ccr1009-7g-1c-1s+pc	-	-
	运行在以下环境
	硬件	mikrotik	ccr1009-7g-1c-pc	-	-
	运行在以下环境
	硬件	mikrotik	ccr1016-12g	-	-
	运行在以下环境
	硬件	mikrotik	ccr1016-12s-1s+	-	-
	运行在以下环境
	硬件	mikrotik	ccr1036-12g-4s	-	-
	运行在以下环境
硬件	mikrotik	ccr1036-12g-4s-em	-	-
运行在以下环境
硬件	mikrotik	ccr1036-8g-2s+	-	-
运行在以下环境
硬件	mikrotik	ccr1036-8g-2s+em	-	-
运行在以下环境
硬件	mikrotik	ccr1072-1g-8s+	-	-
运行在以下环境
硬件	mikrotik	hex	-	-
运行在以下环境
硬件	mikrotik	hex_lite	-	-
运行在以下环境
硬件	mikrotik	hex_poe	-	-
运行在以下环境
硬件	mikrotik	hex_poe_lite	-	-
运行在以下环境
硬件	mikrotik	hex_s	-	-
运行在以下环境
硬件	mikrotik	powerbox	-	-
运行在以下环境
硬件	mikrotik	powerbox_pro	-	-
运行在以下环境
硬件	mikrotik	rb1100ahx4	-	-
运行在以下环境
硬件	mikrotik	rb2011il-in	-	-
运行在以下环境
硬件	mikrotik	rb2011il-rm	-	-
运行在以下环境
硬件	mikrotik	rb2011ils-in	-	-
运行在以下环境
硬件	mikrotik	rb2011uias-in	-	-
运行在以下环境
硬件	mikrotik	rb2011uias-rm	-	-
运行在以下环境
硬件	mikrotik	rb3011uias-rm	-	-
运行在以下环境
硬件	mikrotik	rb4011igs+rm	-	-

CVSS3评分 7.5

• 攻击路径 网络
• 攻击复杂度 低
• 权限要求 无
• 影响范围 未更改
• 用户交互 无
• 可用性 高
• 保密性 无
• 完整性 无

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H

CWE-ID	漏洞类型
CWE-400	未加控制的资源消耗（资源穷尽）

Exp相关链接

- avd.aliyun.com